Am 2. August 2026 treten die Hochrisiko-Pflichten des EU AI Act für eigenständige KI-Systeme in Kraft. Für Betreiber biometrischer Zutrittskontrolle stellt sich damit eine Frage, die viele bisher nicht gestellt haben: Fällt das eigene System unter die neuen Anforderungen — oder nicht? Die Antwort hängt von einem einzigen technischen Unterschied ab, der in der Praxis oft unterschätzt wird.

1:1 oder 1:n — das ist die entscheidende Trennlinie

Der EU AI Act unterscheidet zwei grundlegend verschiedene biometrische Anwendungsfälle. Die 1:1-Authentifizierung gleicht ein aktuell erfasstes biometrisches Merkmal — etwa einen Fingerabdruck oder ein Gesichtsscan — mit einem einzigen, vorab hinterlegten Referenzmuster ab. Ziel ist ausschließlich die Verifikation: Ist diese Person diejenige, die sie zu sein vorgibt? Für diesen Anwendungsfall sieht Artikel 6 Absatz 3 der Verordnung eine Ausnahmemöglichkeit von der Hochrisiko-Einstufung vor.

Die 1:n-Identifizierung dagegen gleicht ein biometrisches Merkmal gegen eine offene Datenbank ab — ohne dass die Person vorab bekannt ist. Dieses Verfahren fällt unter Anhang III der Verordnung und ist damit grundsätzlich als Hochrisiko-KI einzustufen, mit allen Pflichten, die das nach sich zieht: Risikomanagementsystem, technische Dokumentation, Konformitätsbewertung und CE-Kennzeichnung.

Für die große Mehrheit der Unternehmen, die Biometrie in der Zutrittskontrolle einsetzen, ist die 1:1-Authentifizierung der Standardfall. Das ist die gute Nachricht. Die schlechte: Die Ausnahme greift nicht automatisch — sie muss dokumentiert begründet werden.

Wann die Ausnahme nicht gilt

Auch ein 1:1-System kann die Ausnahme verlieren, sobald es zusätzliche Funktionen übernimmt. Das entscheidende Kriterium ist die Profilerstellung: Erzeugt das System Persönlichkeits- oder Verhaltensprofile der erfassten Personen — auch nur zur Unterstützung anderer Entscheidungen — greift keine Ausnahme mehr. Wer also ein biometrisches Zugangssystem mit Verhaltensanalyse, Anomalieerkennung auf Personenebene oder Scoring-Funktionen kombiniert, sollte die Einstufung seines Systems sorgfältig prüfen.

Ausdrücklich verboten sind darüber hinaus Systeme zur biometrischen Kategorisierung nach ethnischer Herkunft, politischer Meinung oder sexueller Orientierung sowie Emotionserkennung am Arbeitsplatz. Diese fallen nicht unter Hochrisiko, sondern unter die seit Februar 2025 geltenden Verbote nach Artikel 5 — sie dürfen schlicht nicht eingesetzt werden.

Was Betreiber jetzt konkret tun müssen

Der Stichtag 2. August 2026 gilt auch ohne finale Leitlinien der EU-Kommission — diese wurden für das zweite Quartal 2026 erwartet, liegen aber noch nicht vollständig vor. Betreiber biometrischer Zutrittssysteme sollten bis dahin drei Dinge klären: Erstens, ob ihr System technisch als 1:1-Authentifizierung oder als 1:n-Identifizierung arbeitet. Zweitens, ob zusätzliche Funktionen — insbesondere Profilerstellung oder Verhaltensanalyse — die Ausnahme aushebeln. Drittens, ob die Einstufungsentscheidung schriftlich dokumentiert ist, denn auch wer zu dem Ergebnis kommt, kein Hochrisiko-System zu betreiben, muss diese Bewertung auf Verlangen der Marktüberwachungsbehörde vorlegen können.

Wer ein Hochrisiko-System betreibt, trägt als Betreiber reduzierte, aber reale Pflichten: Einhaltung der Gebrauchsanweisung, Zuweisung qualifizierter Personen zur menschlichen Aufsicht und Dokumentationspflichten gegenüber betroffenen Personen.

Planung schützt vor Nachrüstung

Biometrische Zutrittskontrolle ist keine Nischenlösung mehr. Fingerabdruck- und Gesichtserkennungssysteme kommen heute in Produktionsbetrieben, Rechenzentren, Laboren und sensiblen Verwaltungsbereichen zum Einsatz — überall dort, wo hohe Sicherheitsanforderungen eine eindeutige Identitätsverifikation verlangen. Der EU AI Act verändert den regulatorischen Rahmen für diese Systeme grundlegend.

Wer Biometrie in der Zutrittskontrolle plant oder bereits einsetzt, sollte die technische Auslegung des Systems und die rechtliche Einstufung von Anfang an zusammendenken. Bei Konntec beraten wir Zutrittslösungen herstellerunabhängig — und mit Blick auf die regulatorischen Anforderungen, die ab August 2026 gelten. Sprechen Sie uns an, bevor die erste biometrische Kamera montiert wird.

Quelle: TÜV Rheinland Consulting – Hochrisiko-KI nach Anhang III